Если дома уже есть Proxmox, контейнеры, reverse proxy и несколько публичных сервисов, держать всё в одной плоской сети быстро становится неудобно. На своём Keenetic Giant (KN-2610) я разнес инфраструктуру на отдельные сегменты: домашнюю сеть, серверную VLAN и отдельную DMZ.
Эта схема получилась практичной: домашние устройства живут в своей подсети, серверы в своей, а отдельный сегмент можно использовать под DMZ, тесты или сервисы с более жёсткой сетевой политикой.
Исходная схема
На роутере сейчас используются такие сети:
192.168.1.0/24— домашняя сеть10.22.2.0/24— серверный сегмент10.22.3.0/24— DMZ
На стороне Keenetic это выглядит так:
Bridge0(Home) ->192.168.1.1/24Bridge2(servers) ->10.22.2.1/24Bridge3(dmz) ->10.22.3.1/24
Транспорт для серверных сегментов сделан через VLAN:
VLAN 20-> серверыVLAN 30-> DMZ
Порт 5 на роутере переведён в trunk и несёт:
- native/access:
VLAN 1 - tagged:
VLAN 20 - tagged:
VLAN 30
То есть один физический линк уходит в сторону серверного железа, а дальше уже Proxmox или другой хост разводит нужные bridge/vlan-интерфейсы.
Почему это удобно
Практический выигрыш у такой схемы сразу заметен:
- проще понимать, где живут пользовательские устройства, а где инфраструктура
- проще строить правила доступа между сегментами
- проще держать
Traefik,AdGuard,Grafana,OpenClawи другие сервисы отдельно от домашних клиентов - проще потом подключать VPN и выдавать доступ не ко всему дому, а только к нужным сетям
Если коротко: сеть становится не «больше», а понятнее.
Что настроено на порту роутера
На Keenetic порт 5 сейчас фактически работает так:
interface GigabitEthernet0/4
rename 5
switchport mode trunk
switchport access vlan 1
switchport trunk vlan 20
switchport trunk vlan 30Это означает:
- обычная домашняя сеть по умолчанию остаётся в
VLAN 1 - серверный трафик идёт с тегом
20 - DMZ идёт с тегом
30
Если на другом конце стоит Proxmox, дальше уже можно развести:
- bridge для обычной LAN
- bridge/vlan-aware для
VLAN 20 - bridge/vlan-aware для
VLAN 30
Как собраны сегменты на Keenetic
В реальной конфигурации это выглядит так:
Bridge0включает домашний VLAN и Wi-FiBridge2включаетGigabitEthernet0/Vlan20Bridge3включаетGigabitEthernet0/Vlan30
Именно так получаются отдельные L3-сети на одном роутере.
Схематично:
Home -> Bridge0 -> 192.168.1.1/24
Servers -> Bridge2 -> 10.22.2.1/24
DMZ -> Bridge3 -> 10.22.3.1/24Что важно не сломать
Есть несколько моментов, на которых чаще всего ломают сетку:
- не перепутать access и trunk на порту, который идёт в сервер
- не забыть, что Wi-Fi обычно остаётся в домашнем bridge, а не в серверных VLAN
- не плодить одинаковые VLAN ID без понимания аппаратных ограничений модели
- не мешать домашнюю подсеть и серверный сегмент в один bridge
Для Keenetic Giant это особенно удобно, потому что модель нормально подходит для такой домашней серверной топологии.
Где это особенно полезно
Такая схема хорошо заходит, если дома уже есть:
Proxmox- LXC-контейнеры
TraefikAdGuard HomeGrafanaVaultwarden- VPN для удалённого доступа
В этом случае серверный сегмент становится не «лишним усложнением», а нормальной основой для порядка.
Практический итог
Если хочется аккуратно разнести домашние устройства, серверы и DMZ на Keenetic, самый удобный путь такой:
- оставить домашнюю сеть в
192.168.1.0/24 - завести отдельный bridge под серверы
- повесить на него
VLAN 20 - завести отдельный bridge под DMZ
- повесить на него
VLAN 30 - вывести эти VLAN через trunk-порт в сторону
Proxmoxили другого сервера
Именно эта схема у меня сейчас и работает.
Источники
- Официальная документация Keenetic по WireGuard и сетевой логике: https://help.keenetic.com/
- Заметка Keenetic про ограничения одинаковых VLAN ID на некоторых моделях: https://help.keenetic.com/hc/ru/articles/18318010520092